Posted by Le phishing contre la Banque Populaire continue de mobiliser le groupe BPCE. Il obtient une nouvelle fois le transfert de plusieurs noms de domaine utilisés pour usurper l’identité de son réseau bancaire.
Deux décisions UDRP rendues par l’Organisation Mondiale de la Propriété Intellectuelle (OMPI) confirment que les cybercriminels exploitent des noms de domaine imitant les marques de Banque Populaire. Ils le font afin de tromper les internautes et de dérober leurs données de connexion.
Ces deux affaires illustrent une stratégie désormais classique. Les fraudeurs enregistrent des noms de domaine proches des signes distinctifs de la banque. Ils créent ensuite de faux espaces de connexion. Ils tentent alors de récupérer les identifiants bancaires des victimes.
Sites de Phishing de la Banque Populaire : BPCE protège activement ses marques
BPCE est une société anonyme française et l’institution centrale des réseaux bancaires Banque Populaire et Caisse d’Épargne. Deuxième groupe bancaire en France, BPCE propose des services bancaires, financiers et d’assurance par l’intermédiaire de ses différentes entités et filiales.
Le groupe compte environ 36 millions de clients, emploie près de 105 000 personnes et exerce ses activités dans plus de 40 pays.
BPCE est titulaire de nombreuses marques déposées BANQUE POPULAIRE et BANQUE POP. Ces marques sont toujours valides et en vigueur. Elles sont largement antérieures aux enregistrements des noms de domaine litigieux.
Le groupe exploite également plusieurs noms de domaine stratégiques, notamment <banque-populaire.com>, enregistré en 1998, <banquepopulaire.com>, enregistré en 2001, ainsi que <banque-populaire.fr> et <banquepopulaire.fr>, enregistrés en 2002. Ces noms de domaine redirigent vers le site officiel de Banque Populaire et participent à la protection de son identité numérique.
Première affaire : de faux espaces clients Banque Populaire
Dans la décision D2026-1447, BPCE sollicitait le transfert des noms de domaine :
- <banque-populaire-fr.com>
- <banque-populaire8.com>
Les éléments produits devant la Commission administrative démontrent que ces noms de domaine redirigeaient vers des sites web affichant des pages de connexion frauduleuses imitant celles de la Banque Populaire.
Les faux sites reproduisaient notamment le logo officiel de Banque Populaire et prétendaient permettre l’accès aux services bancaires en ligne de l’établissement.
Le dossier montre également que ces noms de domaine étaient utilisés dans le cadre d’une usurpation d’identité numérique visant probablement les internautes recherchant le véritable portail bancaire de Banque Populaire.
La Commission considère que les noms de domaine reproduisent la marque BANQUE POPULAIRE, que les titulaires ne disposent d’aucun droit ou intérêt légitime et que leur utilisation relève clairement d’une opération de phishing réalisée de mauvaise foi.
Le transfert des deux noms de domaine est donc ordonné.
Une seconde campagne de phishing quelques jours plus tard
Quelques jours seulement après ces enregistrements frauduleux, BPCE engage une nouvelle procédure UDRP concernant :
- <verif-banquepop.com>
- <verification-banquepop.com>
Cette seconde affaire, enregistrée sous la référence D2026-1590, concerne deux noms de domaine enregistrés respectivement le 5 mars 2026 et le 13 mars 2026.
Ces noms de domaine redirigeaient vers un faux site web comprenant une page de connexion frauduleuse susceptible de collecter des données personnelles et des identifiants bancaires.
L’utilisation des termes « verif » et « verification » renforce artificiellement la crédibilité du site. Les internautes peuvent croire qu’il s’agit d’une procédure officielle de vérification de leur compte bancaire.
Là encore, la Commission UDRP constate que les noms de domaine reproduisent les marques de BPCE, qu’aucun droit légitime n’existe au profit des défendeurs et que les enregistrements ont été réalisés dans un objectif frauduleux.
Le transfert des deux noms de domaine est également ordonné au profit de BPCE.
Une stratégie UDRP devenue indispensable
Ces deux décisions démontrent que BPCE utilise régulièrement la procédure UDRP afin de récupérer rapidement des noms de domaine cybersquattés servant à des campagnes de phishing ou d’usurpation d’identité.
Cette stratégie judiciaire permet de neutraliser rapidement les noms de domaine frauduleux tout en renforçant la protection des marques du groupe.
Nous avions déjà présenté plusieurs décisions similaires concernant BPCE :
Ces nouvelles affaires confirment également que les campagnes de phishing restent particulièrement fréquentes. Les cybercriminels exploitent la notoriété de l’établissement afin de convaincre les internautes de communiquer leurs identifiants bancaires sur de faux portails de connexion.
Pour mieux comprendre ces mécanismes de fraude et les bonnes pratiques de prévention, consultez également notre dossier consacré à des mails de phishing visant la Banque Populaire :
Les décisions D2026-1447 et D2026-1590 illustrent une nouvelle fois l’efficacité de la procédure UDRP contre les campagnes de phishing reposant sur des noms de domaine trompeurs.
L’ajout de termes comme « fr », « 8 », « verif » ou « verification » ne suffit pas à écarter le risque de confusion lorsque la marque BANQUE POPULAIRE demeure immédiatement reconnaissable.
Ces affaires rappellent enfin que la surveillance active des noms de domaine constitue un outil essentiel de lutte contre le phishing, l’usurpation d’identité numérique et les atteintes aux marques bancaires.
Pour les établissements financiers, une détection rapide des enregistrements frauduleux permet souvent de limiter les risques pour les clients et de préserver la confiance dans leurs services en ligne.